‘방산·군 관계자 신상 포함한 악성파일 등장!’ 문서파일로 둔갑한 악성파일 감염 주의
방산업체·국방·언론 소속의 신상정보를 포함한 악성파일, 문서파일로 사칭해 공격
고전적 수법의 ‘스피어피싱’...심리를 교묘히 유도해 공격 성공률 매우 높은 편

[보안뉴스 원병철 기자] 방산분야와 군 관계자의 실명까지 포함된 악성 이메일이 유포되고 있어 사이버 보안 위협이 커지고 있다. 통합 보안기업 이스트시큐리티(대표 정상원)는 정상적인 문서파일로 위장해 사용자 PC를 좀비로 만드는 악성 이메일이 국내에 지속적으로 유포되고 있어 각별한 주의가 필요하다고 7일 밝혔다.

이번 사이버공격은 지난 몇년 간 꾸준히 출현해 왔던 악성파일 유포 방식과 형태는 동일하나 국방, 언론, 기업 분야 등에 소속된 관계자 실명이 적힌 동호회 명부나 항공우주포럼 관련 문서 등 국가 안보와 직접 연관성이 있는 것으로 보이는 문서 파일을 첨부해 사용자가 파일을 열람하도록 유도하는 특징을 가지고 있다.


▲ 정상 문서 파일 위장한 스피어피싱 공격 흐름도(자료제공 : 이스트시큐리티)

이스트시큐리티 시큐리티대응센터 측은 “이메일을 통해 악성 파일을 유포하는 방식은 매우 고전적인 공격 수법이지만, 이번 공격의 경우 시스템의 보안 취약점이 아닌 사람의 심리를 교묘히 노리는 사회 공학적 기법의 사이버 공격인 점에 주목해야 한다”며, “특히 이러한 공격은 특정 공격 목표만을 집중적으로 노리는 스피어피싱의 형태를 많이 띠며, 공격 대상자와 관련된 업무 정보 등으로 위장한 메일을 발송해 의심 없이 첨부파일을 열람하도록 유도한다”고 말했다.

또한, 센터 측은 “최근 발견되는 스피어피싱 메일의 첨부파일은 윈도우 기본 폴더 옵션을 악용해 악성 파일의 ‘*.EXE’ 확장자 앞에 문서 파일 확장자(PDF, PPT, HWP)를 붙여 실제 확장자를 교묘히 숨기고 파일 탐색기에서는 마치 정상적인 문서로 보이게 하는 방식을 사용하고 있다”며, “또한 악성 파일을 실행하면 정상적인 문서 내용도 함께 보여주도록 만들어, 사용자가 악성 파일에 감염된 사실조차 인지 못하도록 한다”고 설명했다.


▲ ‘항공우주전략 운영위’ 문서로 위장한 악성파일 실행 화면 (자료제공 : 이스트시큐리티)

이번에 포착된 공격 역시 특정 공문서나 민감한 개인 신상정보를 담고 있는 PDF 문서 파일을 위장한 악성 파일이 첨부되어 있다.

이 파일을 실행할 경우 임시폴더(Temp) 경로에 ‘conhost.exe’ 이름의 추가 악성 파일을 몰래 생성하고 사용자에게는 정상적인 문서를 보여주며, 감염된 PC는 좀비로 전락해 미상의 사이버 공격자로부터 다양한 명령을 내려 받아 수행할 수 있는 대기 상태가 된다.

특히, 공격에 활용된 파일에 적힌 국방, 언론, 기업 분야 소속 관계자의 개인정보와 인터넷상의 공개 정보를 비교해 본 결과 실제 존재하는 유명인의 신상 정보가 도용된 것으로 보이며, 이에 따라 관련 종사자들이 악성파일에 감염될 경우 중요한 정보가 무단으로 유출되는 피해를 입을 수 있을 것으로 우려된다.


▲ ‘동호회 명부’로 위장한 악성파일 실행 화면 (자료제공 : 이스트시큐리티)

이스트시큐리티 김준섭 부사장은 “위장된 첨부 파일을 통한 스피어피싱 공격은 매우 단순하고 고전적인 공격 수법이지만, 공격 대상자를 현혹시키는 방법이 갈수록 교묘해지고 있어 여전히 위협적”이라며, “특히 2월부터 최근까지 이러한 유형의 공격이 다수 포착되고 있고 실제 유명인의 개인정보까지 활용하는 등 더욱 지능적인 방식을 사용하고 있기 때문에 기관과 기업 종사자는 이메일 첨부 파일을 실행하기 전 다시 한 번 꼼꼼하게 확인하는 보안의식을 가져야 한다”고 당부했다.

현재 알약에서는 이번 피싱 공격에 사용된 악성 파일을 ‘Trojan.Dropper.217800’ 이름으로 탐지 및 치료하고 있다.
[원병철 기자(boanone@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>